Privacyverklaring

Der Schutz deiner Daten ist uns wichtig — gerade weil Lapmetry mit sehr persönlichen Daten arbeitet: deinem Fahrverhalten. Diese Erklärung beschreibt vollständig, welche Daten wir erheben, wofür wir sie verwenden, auf welcher Rechtsgrundlage das geschieht und welche Rechte du hast.

1. Verantwortlicher

Alessandro Napolitano, Vogelsanger Str. 39c, 58135 Hagen, Deutschland
E-Mail: contact@lapmetry.com

2. Welche Daten wir verarbeiten

2.1 Warteliste

• Name, E-Mail-Adresse, optional: genutzte Simulationen und deine Freitext-Nachricht
• Zeitpunkt der Anmeldung, Bearbeitungsstatus (wartend / eingeladen / registriert / abgelehnt)

Zweck: Verwaltung des Beta-Zugangs und Versand deiner Einladung. Rechtsgrundlage: deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), erteilt über die Checkbox bei der Anmeldung. Du kannst sie jederzeit formlos widerrufen — wir löschen deinen Eintrag dann umgehend.

2.2 Konto

• E-Mail-Adresse, Anzeigename, Handle, Land (optional)
• Passwort — ausschließlich als kryptografischer Hash (scrypt), niemals im Klartext
• Kontoeinstellungen (z. B. Sichtbarkeit des öffentlichen Profils), Plan-/Freischaltungsstatus

Zweck: Bereitstellung des Dienstes, Authentifizierung, Vertragsdurchführung. Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).

2.3 Telemetrie- und Fahrdaten

Das ist der Kern von Lapmetry. Wenn du mit der Desktop-App eine Session aufzeichnest und synchronisierst, verarbeiten wir:

• Session-Metadaten: Simulation, Fahrzeug, Strecke, Sessiontyp, Zeitpunkt, Wetter-/Temperaturbedingungen
• Rundendaten: Rundenzeiten, Sektorzeiten, Gültigkeit, Kraftstoffverbrauch
• Telemetriekanäle (bis 60 Hz): Geschwindigkeit, Gas, Bremse, Gang, Drehzahl, Lenkwinkel, Querbeschleunigung, Längsbeschleunigung, Streckenposition
• daraus berechnete Kennzahlen: Kurvenmetriken (Bremspunkte, Kurvengeschwindigkeiten), Konstanz-Scores, Pace-Index, Coaching-Hinweise, Trainingsfortschritt

Zweck: Analyse, Coaching, Training, Bestenlisten — der Kerndienst, den du buchst. Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). Die Aufzeichnung startest und beendest ausschließlich du über die Desktop-App.

2.4 Community-Referenzen und Bestenlisten

• Bestenlisten: Anzeige von Anzeigename/Handle mit Rundenzeit. Sichtbar sind nur Konten mit aktiviertem öffentlichem Profil — die Sichtbarkeit kannst du jederzeit in den Einstellungen abschalten.
• Referenzrunden (P50–P99): aggregierte, von der Person gelöste Vergleichswerte je Fahrzeug/Strecken-Kombination. Aus Referenzen ist kein Rückschluss auf einzelne Nutzer möglich.

Rechtsgrundlage: berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO) an einem funktionierenden Community-Vergleich; für die öffentliche Profilanzeige zusätzlich deine Einstellung im Konto.

2.5 Server-Logs

Beim Zugriff auf unsere Systeme fallen technisch notwendige Logdaten an (IP-Adresse, Zeitstempel, aufgerufene Ressource, User-Agent, Statuscode). Sie dienen ausschließlich Betrieb, Fehlersuche und Abwehr von Angriffen und werden automatisch rotiert (Aufbewahrung: max. 14 Tage). Rechtsgrundlage: berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO).

2.5a Technische Betriebsdaten der Apps

Zur Sicherstellung des Betriebs, für Support und zur Fehlerdiagnose verarbeiten wir je Konto wenige technische Angaben: die Version der Desktop-App, den Zeitpunkt der letzten Nutzung von Web-App bzw. Desktop-App (auf höchstens 15 Minuten genau) sowie — nur während eine Aufnahme läuft — ein etwa fünfminütiges Lebenszeichen der Desktop-App mit dem verwendeten Simulator. Gespeichert wird jeweils nur der letzte Stand, kein Verlauf und kein Bewegungsprofil. Hochgeladene Sessions tragen zusätzlich die Version der App, die sie erzeugt hat — so können wir fehlerhafte Daten einer fehlerhaften Version zuordnen. Downloads der Desktop-App zählen wir ausschließlich anonym (Datum und Dateiname, ohne IP-Adresse und ohne Kontobezug). Rechtsgrundlage: berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO) an einem stabilen, supportfähigen Dienst. Diese Angaben werden mit dem Konto gelöscht.

2.6 Lokale Speicherung und Einwilligungsverwaltung

Die Web-App speichert im localStorage deines Browsers dein Anmelde-Token sowie deine Entscheidung im Cookie-Banner (erteilt/abgelehnt, mit Zeitpunkt). Beides ist für den Betrieb bzw. die Dokumentation deiner Wahl unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG) und dient keinem Tracking. Analyse-Cookies setzen wir ausschließlich nach deiner Einwilligung — siehe Abschnitt 2.7. Die Desktop-App speichert Telemetrie zunächst lokal (offline-first) und überträgt sie erst bei Synchronisation.

2.7 Webanalyse mit Google Analytics (nur mit Einwilligung)

Auf lapmetry.com setzen wir Google Analytics 4 ein, einen Webanalysedienst der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland („Google"). Der Dienst wird erst geladen, nachdem du im Cookie-Banner eingewilligt hast — ohne Einwilligung findet keinerlei Datenübertragung an Google statt und es werden keine Analyse-Cookies gesetzt.

• Rechtsgrundlage: deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO; Speicherzugriff nach § 25 Abs. 1 TDDDG). Du kannst sie jederzeit mit Wirkung für die Zukunft widerrufen — über den Link „Cookie-Einstellungen" am Ende dieser Seite oder im Footer der Startseite.
• Verarbeitete Daten: pseudonymisierte Nutzungsdaten — aufgerufene Seiten, Verweildauer, ungefähre Herkunft (Land/Region, abgeleitet aus der IP-Adresse), Geräte- und Browserinformationen sowie Interaktionsereignisse. Google Analytics 4 protokolliert und speichert keine vollständigen IP-Adressen.
• Cookies: _ga und _ga_* (Speicherdauer bis zu 2 Jahre bzw. bis du sie löschst oder deine Einwilligung widerrufst).
• Keine Werbefunktionen: Google Signals, personalisierte Werbung und die Verknüpfung mit Google-Werbediensten sind deaktiviert. Wir führen Analysedaten nicht mit deinem Lapmetry-Konto zusammen (kein User-ID-Tracking).
• Auftragsverarbeitung und Drittlandtransfer: Mit Google besteht ein Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO). Dabei können Daten an die Google LLC in die USA übermittelt werden; Google LLC ist nach dem EU-US Data Privacy Framework zertifiziert, ergänzend gelten EU-Standardvertragsklauseln (Art. 46 DSGVO).
• Speicherdauer bei Google: Ereignisdaten werden nach 2 Monaten automatisch gelöscht.

2.8 Live-Übertragung und Zuschauer-Links (nur wenn du sie einschaltest)

In der Desktop-App kannst du den Live-Broadcast aktivieren (standardmäßig aus): Deine laufende Session (Fahrdaten wie Geschwindigkeit, Rundenzeiten, Reifen- und Verbrauchswerte sowie dein Anzeigename) wird dann an unsere Server übertragen und auf deinen eigenen angemeldeten Geräten live angezeigt. Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO); die Übertragung endet mit dem Ausschalten des Schalters oder der Session. Live-Daten werden für die Übertragung nur im Arbeitsspeicher gehalten; gespeichert werden Runden erst durch die normale Synchronisation (Abschnitt 2.3).

Zusätzlich kannst du einen Zuschauer-Link erzeugen: Wer den Link hat, sieht deine Live-Übertragung (auch ohne Lapmetry-Konto). Das Teilen ist deine Entscheidung (Art. 6 Abs. 1 lit. a DSGVO); über „Link erneuern" widerrufst du alle bisher geteilten Links mit sofortiger Wirkung für neue Zuschauer — spätestens beim nächsten Verbindungsaufbau deiner Desktop-App auch für bereits Zuschauende.

2.9 Push-Benachrichtigungen (nur mit Einwilligung)

In den Einstellungen kannst du Push-Benachrichtigungen aktivieren (z. B. „Neue Bestzeit"). Dein Browser fragt dabei ausdrücklich um Erlaubnis (Rechtsgrundlage: Einwilligung, Art. 6 Abs. 1 lit. a DSGVO). Wir speichern dazu eine gerätebezogene Zustell-Adresse deines Browsers; die Zustellung läuft über den Push-Dienst deines Browser-Herstellers (Apple, Google bzw. Mozilla — je nach Gerät auch mit Verarbeitung außerhalb der EU; die Inhalte sind transportverschlüsselt). Abschalten kannst du jederzeit über denselben Schalter oder die Browser-Einstellungen — die Zustell-Adresse wird dann gelöscht; abgelaufene Adressen entfernen wir automatisch.

2.10 Community-Referenzen (anonymisierte Aggregate)

Aus gültigen Runden aller echten Fahrer berechnen wir je Auto-/Strecken-Kombination anonymisierte Referenzwerte (z. B. „P90"), gegen die du dich vergleichen kannst. Diese Aggregate entstehen erst ab mindestens fünf verschiedenen Fahrern und als Median über mehrere Runden verschiedener Fahrer — Rückschlüsse auf einzelne Personen sind daraus nicht möglich. Eine Referenz-Telemetriespur („Ghost") übernehmen wir ausschließlich von Fahrern mit öffentlichem Profil, deren Bestzeit ohnehin namentlich im Leaderboard steht. Rechtsgrundlage: Vertragserfüllung bzw. berechtigtes Interesse an der Kernfunktion des Dienstes (Art. 6 Abs. 1 lit. b/f DSGVO); die Sichtbarkeit deines Profils steuerst du selbst in den Einstellungen.

3. Empfänger und Auftragsverarbeiter

• Hosting: Der Dienst läuft auf von uns administrierten Servern der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland (Serverstandort: Rechenzentren in Deutschland). Mit Hetzner besteht ein Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO). Eine Weitergabe deiner Daten an Dritte zu Werbezwecken findet nicht statt.
• DNS und E-Mail-Versand: Die Namensauflösung der Domain erfolgt über Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA (nur DNS, kein Proxy — deine Web-Inhalte laufen nicht über Cloudflare). Zusätzlich versenden wir Transaktions-E-Mails (z. B. deine Beta-Einladung) über den Dienst Cloudflare Email Sending; dabei verarbeitet Cloudflare Empfängeradresse, Name und Mailinhalt in unserem Auftrag (Art. 28 DSGVO). Rechtsgrundlage: Vertragsanbahnung bzw. -erfüllung (Art. 6 Abs. 1 lit. b DSGVO). Drittlandtransfer: Cloudflare ist nach dem EU-US Data Privacy Framework zertifiziert; ergänzend gelten EU-Standardvertragsklauseln. Werbe-E-Mails versenden wir nicht.
• Webanalyse (nur mit Einwilligung): Google Ireland Limited als Auftragsverarbeiter für Google Analytics 4 — Details, Rechtsgrundlage und Widerruf in Abschnitt 2.7.
• TLS-Zertifikate: Let's Encrypt (ISRG). Dabei werden keine personenbezogenen Nutzerdaten übertragen.
• Zahlungsdienstleister (erst nach der Beta): Sobald Zahlungen aktiviert werden, wickelt Stripe Payments Europe, Ltd. diese ab; Zahlungsdaten (z. B. Kartendaten) werden dann direkt bei Stripe verarbeitet, wir erhalten keine vollständigen Zahlungsdaten. Wir informieren vorab an dieser Stelle.
• KI-Coaching (optional): Sofern die Claude-Formulierung des Coaches aktiviert ist, werden ausschließlich berechnete Kurvenmetriken (keine Kontodaten) an Anthropic (Anthropic PBC, USA) zur Textgenerierung übermittelt. Aktuell ist diese Funktion in der Beta deaktiviert; der Coach arbeitet rein lokal-heuristisch.

4. Speicherdauer

5. Deine Rechte

Du hast jederzeit das Recht auf:

• Auskunft über deine gespeicherten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung („Recht auf Vergessenwerden", Art. 17 DSGVO) — Kontolöschung per E-Mail genügt
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO) — deine Sessions und Telemetrie geben wir dir maschinenlesbar mit
• Widerspruch gegen Verarbeitungen auf Basis berechtigten Interesses (Art. 21 DSGVO)
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

Wende dich dafür formlos an contact@lapmetry.com. Zudem hast du ein Beschwerderecht bei einer Datenschutz-Aufsichtsbehörde; für uns zuständig ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW).

6. Datensicherheit

• Transportverschlüsselung (TLS) für sämtliche Verbindungen
• Passwörter ausschließlich als scrypt-Hash mit individuellem Salt
• Zugriff auf Produktionssysteme nur per SSH-Schlüssel; Admin-Aktionen werden protokolliert
• Support-Einsicht: Für Support-Fälle kann die Administration dein Konto in einer nur lesenden Ansicht öffnen — ohne die Möglichkeit, etwas zu ändern, zu kaufen oder zu löschen. Jede solche Einsicht wird mit Zeitpunkt und handelnder Person protokolliert und ist auf eine Stunde begrenzt.
• Datensparsamkeit: Wir erheben nur, was der Dienst braucht — keine Werbe-IDs; Webanalyse ausschließlich nach deiner Einwilligung und ohne Werbefunktionen

7. Änderungen

Wir passen diese Erklärung an, wenn sich der Dienst ändert (z. B. Aktivierung der Zahlungen). Die jeweils aktuelle Fassung findest du immer unter lapmetry.com/datenschutz; wesentliche Änderungen kündigen wir registrierten Nutzern per E-Mail oder im Produkt an.